Waarom dit saai voelt

Je hebt net de huischeck gedaan. Misschien viel hij tegen. Misschien dacht je: ja, dat weet ik wel, maar het komt er niet van.

Dat is geen luiheid. Het is het gewoonste patroon dat er is, en er is onderzoek naar. Dit hoofdstuk gaat niet over inbrekers. Het gaat over jou, en waarom dit onderwerp zo makkelijk van je aandacht af glijdt.

Bij de huischeck stond een vraag die niet meetelde voor je score: welk cijfer geef je jezelf? Nederlanders geven zichzelf gemiddeld een 6,9 voor het omgaan met online risico’s. Dat cijfer staat sinds 2022 ongeveer stil. Tien procent geeft zichzelf een onvoldoende, drie op de tien een acht of hoger. Als jouw cijfer hoger was dan het aantal deuren dat dichtstaat, ben je in goed gezelschap — en dit hoofdstuk legt uit waarom.

De helft maakt zich geen zorgen

Van alle Nederlanders maakt 51 procent zich weinig tot geen zorgen over de eigen digitale veiligheid. Veertig procent maakt zich enige zorgen. Acht procent maakt zich veel zorgen. (bron)

Ondertussen kreeg 72 procent van de Nederlanders in twaalf maanden een vorm van cybercrime op zijn dak. Meestal phishing (55 procent). Telefonische helpdeskfraude verdubbelde in één jaar van 15 naar 29 procent.

Dus: driekwart van ons wordt geprobeerd, en de helft van ons ligt er niet wakker van.

Er zit nog een merkwaardigheid in die cijfers. Over de digitale veiligheid van hun naasten maken mensen zich méér zorgen dan over die van zichzelf. Vijfenvijftig procent tegen achtenveertig.

Dat is het oudste denkfoutje dat er is: een gevaar is echt voor een ander, en theoretisch voor mij. Onderzoekers noemen het optimisme-vertekening. Het is precies wat er gebeurt als je bij een verhaal over een gehackte buurman denkt: ja, maar die klikte dan ook op alles.

Het woordje “soms”

Hier wordt het interessant. Twee serieuze onderzoeken, twee heel verschillende uitkomsten:

Het verschil zit niet in het onderzoek. Het zit in het woordje soms.

Je hebt twee-staps-inloggen. Op één plek. Waarschijnlijk op je bank, want die dwong je. Daarmee ben je in het ene onderzoek iemand die twee-staps-inloggen gebruikt, en in het andere iemand die het niet overal heeft. Allebei waar.

En dat is precies waarom dit huis een plattegrond nodig heeft. Eén goed slot op twaalf deuren voelt als een beveiligd huis. Het is er geen.

Beveiligingsmoeheid is een echt woord

In 2016 onderzocht het Amerikaanse normeninstituut NIST waarom goed geïnformeerde mensen toch onveilig doen. Ze vonden iets wat ze security fatigue noemden: beveiligingsmoeheid. (bron)

Mensen voelden zich bestookt. Steeds weer een wachtwoord, steeds weer een waarschuwing, steeds weer een keuze. Het gevolg was niet meer aandacht, maar minder: berusting, het gevoel geen controle te hebben, en dan de makkelijkste optie kiezen. Of helemaal niets.

De onderzoekers gaven drie adviezen. Niet aan de gebruiker — aan iedereen die beveiliging uitlegt of bouwt:

1. Laat mensen zo min mogelijk beslissingen nemen.
2. Maak de goede keuze de makkelijkste keuze.
3. Zorg dat het elke keer hetzelfde werkt.

Deze site is op die drie regels gebouwd. Daarom is er een huischeck met tien vragen in plaats van een lijst met honderd tips. Daarom is er één avond met zes stappen. En daarom is de volgorde altijd hetzelfde: e-mail eerst, dan de rest.

Waarom abstracte uitleg niet blijft hangen

Van de mensen die op hun werk beveiligingstraining krijgen, noemt ruim een derde die training saai. Slechts een derde zegt er met volle aandacht bij te zijn. (bron)

Dat is geen onwil. Onderzoeker Rick Wash liet in 2010 zien dat gewone computergebruikers wel degelijk een verklaring in hun hoofd hebben voor wat een virus is of wie een hacker is — alleen is dat hun eigen verklaring. Hij noemde ze folk models, huis-tuin-en-keukenmodellen. Mensen leenden beelden uit een wereld die ze wél kenden: een inbreker, een ziekte, een oorlog. (bron)

Het probleem is dat advies dat niet in zo’n beeld past, genegeerd wordt. Niet omdat het te moeilijk is, maar omdat het nergens aan vast zit.

Daarom staat er op deze site een huis. Niet omdat het leuk klinkt, maar omdat je dan een plek hebt om nieuwe dingen op te hangen. Een wachtwoordkluis is niet “een applicatie voor credentialbeheer” — het is de sleutelkast in de gang. Je e-mail is niet “een centraal identiteitspunt” — het is de voordeur, want daar komt elke reservesleutel aan.

Dus

Als je dit onderwerp saai vindt, ben je in gezelschap van ongeveer heel Nederland. Er zijn drie redenen, en geen ervan is dat je er te dom voor bent:

• Je denkt dat het al geregeld is, omdat je het ergens hebt geregeld.
• Je bent moe van het aantal keuzes dat er van je gevraagd wordt.
• Niemand heeft het ooit aan iets vastgemaakt dat je al kende.

Het eerste lost de plattegrond op: die laat zien hoeveel deuren er zijn. Het tweede lost één avond op: zes stappen, en dan ben je klaar. Het derde is dit hele huis.